Smishing 2026 : comment identifier et bloquer les SMS malveillants

Les SMS de phishing (« smishing ») évoluent vite en 2026. Les attaquants ne demandent plus bêtement de cliquer sur un lien suspect. Ils utilisent maintenant des techniques plus vicieuses : faux numéros d'urgence, usurpation d'identité bancaire raffinée, QR codes vers des formulaires de saisie de données, et même des SMS « validations » faux qui semblent venir de vos services habituels. Pire : certains ciblent directement les administrateurs système via des SMS d'alerte de sécurité contrefaits. Spoiler : oui, c'est du foutage de gueule, mais ça marche.

Pourquoi c'est important

Le smishing fonctionne parce qu'on vérifie moins nos SMS qu'un email. D'après les observations des équipes de sécurité, le taux d'ouverture et d'interaction des SMS reste bien supérieur à celui des emails. Les SMS semblent plus légitimes, plus urgents, plus « officiels ». En 2026, les criminels l'ont bien compris et la sophistication des attaques a augmenté : les faux SMS ne disent plus « cliquez ici » en mauvais français, ils imitent le ton exact de votre banque, de Colis Privé ou de votre opérateur télécom.

Résultat concret : vol d'identifiants, fraude bancaire, accès à des comptes professionnels sensibles. Et contrairement aux emails, les SMS ne passent pas par un serveur qu'on peut checker facilement.

Nouvelle technique 1 : le faux SMS de validation MFA

Voici le classique 2026. Vous recevez un SMS : « Votre code de sécurité : 123456 — si ce n'est pas vous, ignorez ». Sauf que vous n'avez rien demandé. Là, il y a deux scenarios :

• Scenario 1 : C'est vraiment un attaquant qui essaie d'accéder à votre compte. Il a vos identifiants (par un leak ou un keylogger) et tente de forcer l'authentification. Le SMS arrive chez vous en même temps que lui. C'est normal.
• Scenario 2 (plus fourbe) : Le SMS n'est pas un vrai code, c'est un faux SMS d'une app bancaire vous demandant de « confirmer » votre code de sécurité en répondant par SMS ou en cliquant sur un lien. Là, c'est du pur smishing.

Comment vous défendre : Aucune banque légitime ne vous demande de répondre au SMS avec votre code. Si vous revenez d'un tentative de connexion, c'est normal. Si non, allez directement sur le site officiel (pas via le lien du SMS) et vérifiez votre compte. Pour vérifier l'authenticité, appelez votre banque directement au numéro inscrit sur votre carte ou sur leur site officiel.

Nouvelle technique 2 : les QR codes vers des formulaires de phishing

Au lieu d'un lien texte évident « www.banque-fake.com », les attaquants envoient un SMS avec un QR code : « Cliquez pour confirmer votre compte ». Le QR code dirige vers une page qui copie pixel-parfait votre interface bancaire. Vous entrez vos identifiants, et hop, c'est perdu.

Le truc vicieux : les QR codes ne se montrent pas l'URL complète avant de scanner. Vous ne voyez que le carré. Et sur Android, le navigateur par défaut ne montre pas toujours l'URL entière une fois chargée.

Comment vous défendre :

• Activez dans votre téléphone une option « avertissement URL » si elle existe (certains téléphones le font, d'autres non).
• Avant de saisir des identifiants, arrêtez-vous 3 secondes et vérifiez l'URL en haut de la page. Est-ce vraiment le domaine officiel de votre banque ?
• Utilisez un gestionnaire de mots de passe comme Bitwarden (open source, gratuit, local). Il ne remplira automatiquement vos identifiants que sur les vrais domaines. Si le site est un fake, Bitwarden ne reconnaîtra pas le domaine et vous alerte.
• Jamais, jamais de QR code envoyé par SMS pour « valider » un compte sensible.

Nouvelle technique 3 : l'usurpation de numéro (SMS spoofing avancé)

Vous recevez un SMS d'un numéro qui semble être celui de votre banque (ou une partie reconnaissable). Par exemple, votre SMS affiche « +33 2 XXXX-1234 » et vous pensez « tiens, c'est mon agence bancaire ». Faux. En 2026, certains outils permettent aux attaquants d'envoyer des SMS depuis des numéros qui s'affichent comme légitimes, surtout via des services de VoIP ou des API SMS mal sécurisées.

Comment vous défendre : Vérifiez le numéro complet (pas juste les 4 derniers chiffres). Appelez directement votre établissement au numéro officiel pour confirmer. Les vrais SMS importants sont souvent accompagnés d'un email (ce qui laisse plus de traces).

Nouvelle technique 4 : les faux SMS d'alerte de sécurité pour les pros

Si vous êtes admin système ou travaillez en IT, vous risquez une attaque spécifique : un SMS qui dit « Alerte : authentification suspecte détectée sur votre compte d'administration. Cliquez ici pour vérifier ». Ça vise directement votre réflexe professionnel (urgence, sécurité). Les attaquants savent que vous allez réagir vite.

Comment vous défendre : Aucun système d'authentification sérieux n'envoie d'URL de vérification par SMS. Les vrais alertes passent par le dashboard admin ou un email chiffré (avec GPG/S/MIME si c'est vraiment critique). Créez un protocole interne : en cas de doute, contactez votre équipe sécurité avant de cliquer. Utilisez un outil comme Nextcloud Talk ou Mattermost pour avoir un canal interne de vérification rapide.

Nouvelle technique 5 : les SMS avec redirection courte (URL shortener)

« Colis à récupérer : bit.ly/xxx » ou « Paiement échoué : tinyurl/yyy ». Les raccourcisseurs d'URL masquent la destination réelle. Même avec des outils qui montrent l'URL longue avant de cliquer, il faut faire preuve de vigilance.

Comment vous défendre : Installez une app comme Winaero URL Expander (Windows) ou utilisez un site web comme expand.url ou unfurlr.com pour vérifier où le lien va vraiment. Franchement, si c'est un SMS d'urgence avec un raccourcisseur, c'est 99 % du phishing.

Les erreurs à éviter

• Cliquer sur le lien « se désabonner ». Les vrais SMS légitimes ont rarement un lien de désinscription dans le message urgent. C'est une technique classique pour vérifier que le numéro est actif.
• Répondre au SMS. Même pour dire « stop » ou « non ». Vous confirmez que votre numéro fonctionne.
• Copier-coller le lien du SMS dans un navigateur. Si vous avez un doute, tapez manuellement l'adresse officielle (banque.fr) au lieu de suivre le lien.
• Donner des infos personnelles par SMS, même si ça semble urgent. Aucune institution ne vous demande ça par SMS.
• Ignorer l'absence de numéro de téléphone visible. Certains SMS n'affichent que des chiffres aléatoires au lieu d'un vrai numéro. C'est souvent un signal d'alerte.

Notre verdict

En 2026, le smishing n'est plus une blague. Les techniques sont raffinées, les criminels font du vrai travail de social engineering. Votre meilleure défense reste une mentalité de « je doute d'abord, je clique après ».

Une action dès aujourd'hui : Ouvrez les paramètres SMS de votre téléphone et activez tous les filtres de spam disponibles (sur Android : Paramètres → Applications → Messages → Filtrer les SMS suspects ; sur iPhone : Réglages → Messages → Filtrer les expéditeurs inconnus). Ce n'est pas parfait, mais ça bloque les attaques les plus bêtes et libère votre mental pour les autres.

Sources et références

• ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) : conseils contre le phishing et le smishing - ssi.gouv.fr
• CERT-FR (équipe de réponse aux incidents) : alertes smishing 2025-2026 sur cert.fr
• CVE.org : pour les vulnérabilités affectant les systèmes SMS et les apps d'authentification
• Tendances observées : rapports de sécurité d'Okta, Microsoft Threat Intelligence et Cloudflare sur les attaques SMS en 2025-2026
• Pratiques recommandées : guides de l'CNIL sur la sécurité des données personnelles et l'usurpation d'identité